Ubuntu20.04でDockerコンテナのリバースプロキシとしてTraefikv1を使用する方法
著者は、 Write for DOnations プログラムの一環として、 Girls WhoCodeを選択して寄付を受け取りました。
注:このチュートリアルはTraefikv1を対象としています。 Traefik v2をインストールして構成する場合は、この新しいチュートリアルを使用してください。
序章
Docker は、本番環境でWebアプリケーションを実行するための効率的な方法ですが、同じDockerホストで複数のアプリケーションを実行したい場合があります。 この状況では、ポートのみを公開する必要があるため、リバースプロキシを設定する必要があります 80
と 443
世界の残りの部分に。
Traefik は、独自の監視ダッシュボードを含むDocker対応のリバースプロキシです。 このチュートリアルでは、Traefikを使用して、リクエストを2つの異なるWebアプリケーションコンテナにルーティングします。WordPressコンテナとAdminerコンテナで、それぞれMySQLと通信します。データベース。 Let’s Encrypt を使用して、HTTPS経由ですべてを提供するようにTraefikを構成します。
前提条件
このチュートリアルに従うには、次のものが必要です。
- 1台のUbuntu20.04サーバーは、 Ubuntu 20.04初期サーバーセットアップガイドに従ってセットアップされます。これには、sudo非rootユーザーとファイアウォールが含まれます。
- サーバーにDockerがインストールされています。これは、 Ubuntu20.04にDockerをインストールして使用する方法に従って実行できます。
- Ubuntu20.04にDockerComposeをインストールする方法の手順に従ってインストールされたDockerCompose。
- ドメインと3つのAレコード、
db-admin.your_domain
,blog.your_domain
とmonitor.your_domain
. それぞれがサーバーのIPアドレスを指している必要があります。 DigitalOceanのドメインとDNSのドキュメントを読むことで、ドメインがDigitalOceanドロップレットを指す方法を学ぶことができます。 このチュートリアル全体を通して、ドメインを次のように置き換えますyour_domain
構成ファイルと例で。
ステップ1—Traefikの構成と実行
Traefikプロジェクトには公式Dockerイメージがあるため、これを使用してDockerコンテナーでTraefikを実行します。
ただし、Traefikコンテナを起動して実行する前に、構成ファイルを作成し、暗号化されたパスワードを設定して、監視ダッシュボードにアクセスできるようにする必要があります。
を使用します htpasswd
この暗号化されたパスワードを作成するユーティリティ。 まず、に含まれているユーティリティをインストールします apache2-utils
パッケージ:
- sudo apt-get install apache2-utils
次に、でパスワードを生成します htpasswd
. 代わりの secure_password
Traefik管理者ユーザーに使用するパスワードを使用して:
- htpasswd -nb admin secure_password
プログラムからの出力は次のようになります。
Outputadmin:$apr1$ruca84Hq$mbjdMZBAG.KWn7vfN/SNK/
Traefik構成ファイルの独自の出力を使用して、Traefikヘルスチェックおよび監視ダッシュボードのHTTP基本認証を設定します。 後で貼り付けることができるように、出力行全体をコピーします。 サンプル出力は使用しないでください。
Traefikサーバーを構成するために、という新しい構成ファイルを作成します。 traefik.toml
TOML形式を使用します。 TOML は、INIファイルに似た構成言語ですが、標準化されています。 このファイルを使用すると、Traefikサーバーとさまざまな統合を構成できます、または providers
、使用したいもの。 このチュートリアルでは、Traefikで利用可能な3つのプロバイダーを使用します。 api
, docker
、 と acme
. これらの最後、 acme
Let’sEncryptを使用したTLS証明書をサポートします。
で新しいファイルを開きます nano
またはお気に入りのテキストエディタ:
- nano traefik.toml
まず、2つの名前付きエントリポイントを追加します。 http
と https
、すべてのバックエンドがデフォルトでアクセスできます。
defaultEntryPoints = ["http", "https"]
構成します http
と https
このファイルの後半にあるエントリポイント。
次に、 api
ダッシュボードインターフェイスへのアクセスを提供するプロバイダー。 ここに、からの出力を貼り付けます htpasswd
指図:
...
[entryPoints]
[entryPoints.dashboard]
address = ":8080"
[entryPoints.dashboard.auth]
[entryPoints.dashboard.auth.basic]
users = ["admin:your_encrypted_password"]
[api]
entrypoint="dashboard"
ダッシュボードは、Traefikコンテナ内で実行される別個のWebアプリケーションです。 ダッシュボードをポートで実行するように設定しました 8080
.
The entrypoints.dashboard
セクションは、どのように接続するかを構成します api
プロバイダー、および entrypoints.dashboard.auth.basic
セクションでは、ダッシュボードのHTTP基本認証を構成します。 からの出力を使用します htpasswd
の値を求めて実行したコマンド users
エントリ。 追加のログインは、コンマで区切って指定できます。
最初に定義しました entryPoint
、ただし、に向けられていない標準のHTTPおよびHTTPS通信用に他のものを定義する必要があります api
プロバイダー。 The entryPoints
セクションは、Traefikとプロキシされたコンテナがリッスンできるアドレスを設定します。 これらの行をファイルの下に追加します entryPoints
見出し:
...
[entryPoints.http]
address = ":80"
[entryPoints.http.redirect]
entryPoint = "https"
[entryPoints.https]
address = ":443"
[entryPoints.https.tls]
...
The http
エントリポイントはポートを処理します 80
、 https
エントリポイントはポートを使用します 443
TLS/SSLの場合。 ポート上のすべてのトラフィックを自動的にリダイレクトします 80
に https
すべての要求に対して安全な接続を強制するためのエントリポイント。
次に、このセクションを追加して、TraefikのLet’sEncrypt証明書のサポートを構成します。
...
[acme]
email = "your_email@your_domain"
storage = "acme.json"
entryPoint = "https"
onHostRule = true
[acme.httpChallenge]
entryPoint = "http"
このセクションは acme
ACME は、Let’sEncryptと通信して証明書を管理するために使用されるプロトコルの名前であるためです。 Let’s Encryptサービスでは、有効な電子メールアドレスで登録する必要があるため、Traefikにホストの証明書を生成させるには、 email
あなたのメールアドレスへの鍵。 次に、Let’sEncryptから受け取る情報を次のJSONファイルに保存するように指定します。 acme.json
. The entryPoint
キーはエントリポイント処理ポートを指す必要があります 443
、この場合は https
エントリーポイント。
キー onHostRule
Traefikが証明書の生成をどのように行うかを指示します。 指定されたホスト名を持つコンテナが作成されたらすぐに証明書をフェッチしたいのですが、それが onHostRule
設定で十分です。
The acme.httpChallenge
このセクションでは、Let’sEncryptが証明書を生成する必要があることを確認する方法を指定できます。 チャレンジの一部としてファイルを提供するように構成しています。 http
エントリーポイント。
最後に、 docker
これらの行をファイルに追加することにより、プロバイダー:
...
[docker]
domain = "your_domain"
watch = true
network = "web"
The docker
プロバイダーにより、TraefikはDockerコンテナーの前でプロキシとして機能できます。 プロバイダーを次のように構成しました watch
上の新しいコンテナの場合 web
ネットワーク。まもなく作成し、のサブドメインとして公開します。 your_domain
.
この時点で、 traefik.toml
次の内容が必要です。
defaultEntryPoints = ["http", "https"]
[entryPoints]
[entryPoints.dashboard]
address = ":8080"
[entryPoints.dashboard.auth]
[entryPoints.dashboard.auth.basic]
users = ["admin:your_encrypted_password"]
[entryPoints.http]
address = ":80"
[entryPoints.http.redirect]
entryPoint = "https"
[entryPoints.https]
address = ":443"
[entryPoints.https.tls]
[api]
entrypoint="dashboard"
[acme]
email = "your_email@your_domain"
storage = "acme.json"
entryPoint = "https"
onHostRule = true
[acme.httpChallenge]
entryPoint = "http"
[docker]
domain = "your_domain"
watch = true
network = "web"
ファイルを保存して、エディターを終了します。 これらの構成を設定すると、Traefikを初期化できます。
ステップ2—Traefikコンテナを実行する
次に、プロキシがコンテナと共有するDockerネットワークを作成します。 Dockerネットワークは、DockerComposeを使用して実行されるアプリケーションで使用できるようにするために必要です。 このネットワークを呼びましょう web
:
- docker network create web
Traefikコンテナが起動したら、このネットワークに追加します。 次に、後でTraefikがプロキシするために、このネットワークにコンテナを追加できます。
次に、Let’sEncrypt情報を保持する空のファイルを作成します。 これをコンテナに共有して、Traefikが使用できるようにします。
- touch acme.json
Traefikは、コンテナ内のrootユーザーがこのファイルへの一意の読み取りおよび書き込みアクセス権を持っている場合にのみ、このファイルを使用できます。 これを行うには、上の権限をロックダウンします acme.json
ファイルの所有者のみが読み取りおよび書き込み権限を持つようにするには、次のようにします。
- chmod 600 acme.json
ファイルがDockerに渡されると、所有者はコンテナ内のrootユーザーに自動的に変更されます。
最後に、次のコマンドを使用してTraefikコンテナを作成します。
- docker run -d \
- -v /var/run/docker.sock:/var/run/docker.sock \
- -v $PWD/traefik.toml:/traefik.toml \
- -v $PWD/acme.json:/acme.json \
- -p 80:80 \
- -p 443:443 \
- -l traefik.frontend.rule=Host:monitor.your_domain \
- -l traefik.port=8080 \
- --network web \
- --name traefik \
- traefik:1.7-alpine
コマンドは少し長いので、分解してみましょう。
を使用します -d
コンテナをデーモンとしてバックグラウンドで実行するためのフラグ。 次に、 docker.sock
Traefikプロセスがコンテナーへの変更をリッスンできるように、コンテナーにファイルします。 私達はまた共有します traefik.toml
構成ファイルと acme.json
コンテナに作成したファイル。
次に、ポートをマップします :80
と :443
DockerホストをTraefikコンテナの同じポートに接続して、TraefikがサーバーへのすべてのHTTPおよびHTTPSトラフィックを受信するようにします。
次に、トラフィックをホスト名に転送するようにTraefikに指示する2つのDockerラベルを設定します monitor.your_domain
ポートへ :8080
Traefikコンテナ内。これにより、監視ダッシュボードが公開されます。
コンテナのネットワークを web
、コンテナに名前を付けます traefik
.
最後に、 traefik:1.7-alpine
このコンテナの画像は小さいので。
DockerイメージのENTRYPOINTは、イメージからコンテナーが作成されるときに常に実行されるコマンドです。 この場合、コマンドは traefik
コンテナ内のバイナリ。 コンテナを起動するときにそのコマンドに追加の引数を渡すことができますが、すべての設定は traefik.toml
ファイル。
コンテナが起動すると、コンテナの状態を確認するためにアクセスできるダッシュボードができました。 このダッシュボードを使用して、Traefikが登録したフロントエンドとバックエンドを視覚化することもできます。 ブラウザで次の位置に移動して、監視ダッシュボードにアクセスします https://monitor.your_domain
. ユーザー名とパスワードの入力を求められます。これらはadminであり、手順1で構成したパスワードです。
ログインすると、次のようなインターフェースが表示されます。
まだ見るものはあまりありませんが、このウィンドウを開いたままにしておくと、Traefikが管理するコンテナを追加すると内容が変化します。
これで、Traefikプロキシが実行され、Dockerと連携するように構成され、他のDockerコンテナーを監視する準備が整いました。 Traefikのコンテナをプロキシに追加しましょう。
ステップ3—コンテナをTraefikに登録する
Traefikコンテナを実行すると、その背後でアプリケーションを実行する準備が整います。 Traefikの背後にある次のコンテナを起動しましょう。
- 公式WordPress画像を使用したブログ。
- 公式管理者イメージを使用するデータベース管理サーバー。
Docker Composeを使用して、これらのアプリケーションの両方を管理します。 docker-compose.yml
ファイル。
を作成して開きます docker-compose.yml
エディター内のファイル:
- nano docker-compose.yml
次の行をファイルに追加して、使用するバージョンとネットワークを指定します。
version: "3"
networks:
web:
external: true
internal:
external: false
DockerComposeバージョンを使用します 3
これは、作成ファイル形式の最新のメジャーバージョンだからです。
Traefikがアプリケーションを認識するためには、それらが同じネットワークの一部である必要があります。ネットワークを手動で作成したため、次のネットワーク名を指定してネットワークをプルします。 web
と設定 external
に true
. 次に、公開されたコンテナを、Traefikを介して公開しないデータベースコンテナに接続できるように、別のネットワークを定義します。 このネットワークを呼びます internal
.
次に、それぞれを定義します services
、 一つずつ。 から始めましょう blog
コンテナ。これは、公式のWordPressイメージに基づいています。 次の構成をファイルの最後に追加します。
...
services:
blog:
image: wordpress:4.9.8-apache
environment:
WORDPRESS_DB_PASSWORD:
labels:
- traefik.backend=blog
- traefik.frontend.rule=Host:blog.your_domain
- traefik.docker.network=web
- traefik.port=80
networks:
- internal
- web
depends_on:
- mysql
The environment
キーを使用すると、コンテナ内に設定される環境変数を指定できます。 の値を設定しないことによって WORDPRESS_DB_PASSWORD
、Docker Composeに、シェルから値を取得し、コンテナーを作成するときにそれを渡すように指示しています。 コンテナを起動する前に、シェルでこの環境変数を定義します。 このようにして、パスワードを構成ファイルにハードコーディングしません。
The labels
セクションでは、Traefikの構成値を指定します。 Dockerラベルはそれ自体では何もしませんが、Traefikはこれらを読み取るため、コンテナーの処理方法を認識しています。 これらの各ラベルの機能は次のとおりです。
traefik.backend
Traefikのバックエンドサービスの名前を指定します(これは実際のblog
容器)。traefik.frontend.rule=Host:blog.your_domain
要求されたホストを調べ、それがのパターンと一致するかどうかをTraefikに指示しますblog.your_domain
トラフィックをにルーティングする必要がありますblog
容器。traefik.docker.network=web
このコンテナの内部IPを見つけるためにTraefikを探すネットワークを指定します。 TraefikコンテナはすべてのDocker情報にアクセスできるため、internal
これを指定しなかった場合はネットワーク。traefik.port
Traefikがトラフィックをこのコンテナにルーティングするために使用する公開ポートを指定します。
この構成では、すべてのトラフィックがDockerホストのポートに送信されます 80
にルーティングされます blog
容器。
このコンテナを2つの異なるネットワークに割り当てて、Traefikが web
ネットワークとそれはを介してデータベースコンテナと通信することができます internal
通信網。
最後に、 depends_on
keyは、依存関係が実行された後にこのコンテナーを開始する必要があることをDockerComposeに通知します。 WordPressを実行するにはデータベースが必要なので、 mysql
開始する前のコンテナ blog
容器。
次に、ファイルの最後に次の構成を追加して、MySQLサービスを構成します。
...
mysql:
image: mysql:5.7
environment:
MYSQL_ROOT_PASSWORD:
networks:
- internal
labels:
- traefik.enable=false
このコンテナには、公式のMySQL5.7イメージを使用しています。 もう一度使用していることに気付くでしょう environment
値のないアイテム。 The MYSQL_ROOT_PASSWORD
と WORDPRESS_DB_PASSWORD
WordPressコンテナがMySQLと通信できるようにするには、変数を同じ値に設定する必要があります。 公開したくない mysql
コンテナはTraefikまたは外の世界に割り当てられるため、このコンテナは internal
通信網。 TraefikはDockerソケットにアクセスできるため、プロセスは引き続き mysql
デフォルトではコンテナなので、ラベルを追加します traefik.enable=false
Traefikがこのコンテナを公開しないように指定します。
最後に、この構成をファイルの最後に追加して、Adminerコンテナーを定義します。
...
adminer:
image: adminer:4.6.3-standalone
labels:
- traefik.backend=adminer
- traefik.frontend.rule=Host:db-admin.your_domain
- traefik.docker.network=web
- traefik.port=8080
networks:
- internal
- web
depends_on:
- mysql
このコンテナは、公式のAdminerイメージに基づいています。 The network
と depends_on
このコンテナの構成は、私たちが使用しているものと完全に一致します blog
容器。
ただし、すべてのトラフィックをポートに転送しているため 80
Dockerホスト上で直接 blog
コンテナの場合、トラフィックが私たちのコンテナに到達するために、このコンテナを別の方法で構成する必要があります adminer
容器。 この線 traefik.frontend.rule=Host:db-admin.your_domain
要求されたホストを調べるようにTraefikに指示します。 のパターンと一致する場合 db-admin.your_domain
、Traefikはトラフィックをにルーティングします adminer
容器。
この時点で、 docker-compose.yml
次の内容が必要です。
version: "3"
networks:
web:
external: true
internal:
external: false
services:
blog:
image: wordpress:4.9.8-apache
environment:
WORDPRESS_DB_PASSWORD:
labels:
- traefik.backend=blog
- traefik.frontend.rule=Host:blog.your_domain
- traefik.docker.network=web
- traefik.port=80
networks:
- internal
- web
depends_on:
- mysql
mysql:
image: mysql:5.7
environment:
MYSQL_ROOT_PASSWORD:
networks:
- internal
labels:
- traefik.enable=false
adminer:
image: adminer:4.6.3-standalone
labels:
- traefik.backend=adminer
- traefik.frontend.rule=Host:db-admin.your_domain
- traefik.docker.network=web
- traefik.port=8080
networks:
- internal
- web
depends_on:
- mysql
ファイルを保存して、テキストエディタを終了します。
次に、シェルに値を設定します WORDPRESS_DB_PASSWORD
と MYSQL_ROOT_PASSWORD
コンテナを開始する前の変数:
- export WORDPRESS_DB_PASSWORD=secure_database_password
- export MYSQL_ROOT_PASSWORD=secure_database_password
代わりの secure_database_password
ご希望のデータベースパスワードを使用してください。 両方に同じパスワードを使用することを忘れないでください WORDPRESS_DB_PASSWORD
と MYSQL_ROOT_PASSWORD
.
これらの変数を設定して、を使用してコンテナを実行します docker-compose
:
- docker-compose up -d
次に、Traefik管理ダッシュボードをもう一度見てください。 あなたは今あることがわかります backend
と frontend
公開された2つのサーバーの場合:
案内する blog.your_domain
. TLS接続にリダイレクトされ、WordPressのセットアップを完了することができます。
次に、にアクセスしてAdminerにアクセスします db-admin.your_domain
あなたのブラウザで、再び置き換えます your_domain
あなたのドメインで。 The mysql
コンテナは外界にさらされていませんが、 adminer
コンテナは、 internal
を使用して共有するDockerネットワーク mysql
ホスト名としてのコンテナ名。
管理者ログイン画面で、システムドロップダウンメニューをMySQLに設定します。 今入力します mysql
サーバーには、次のように入力します root
username に、設定した値を入力します MYSQL_ROOT_PASSWORD
パスワードの場合。 データベースは空のままにします。 次に、ログインを押します。
ログインすると、Adminerユーザーインターフェイスが表示されます。
現在、両方のサイトが機能しており、次の場所でダッシュボードを使用できます。 monitor.your_domain
アプリケーションを監視します。
結論
このチュートリアルでは、Dockerコンテナー内の他のアプリケーションにリクエストをプロキシするようにTraefikを構成しました。
アプリケーションコンテナレベルでのTraefikの宣言型構成により、より多くのサービスを簡単に構成でき、再起動する必要はありません。 traefik
Traefikは、監視しているDockerソケットファイルを介して変更にすぐに気付くため、プロキシトラフィックに新しいアプリケーションを追加するときのコンテナ。
Traefikで何ができるかについて詳しくは、公式のTraefikドキュメントをご覧ください。